¡Axios, un conocido banco delantero, fue envenenado! CVE-2026-25639 Agujeros de alto riesgo que podrían causar la degradación del servidor Node.js

En febrero de 2026, JavaScript fue confrontado con una gran crisis de seguridad!Se encontró que la conocida biblioteca de clientes HTTP Axios tenía una brecha de seguridad de alto riesgo CVE-2026-25639Este agujero permite a los atacantes remotos desencadenar la negación de los servicios (DoS) atacando una sola solicitud maliciosa, lo que resulta en el colapso repentino del servidor Node.js. Esta laguna afecta todas las versiones de Axios a 1.13.4 y CVSS hasta 7.5 (alto riesgo)No lo sé. Check and upgrade immediately if you are front-end or Node.js developer!

Sinopsis de las deficiencias

Campos	Detalles
CVE ID	CVE-2026-25639
Extent	Alto riesgo (CVSS 7.5)
Paquetes afectados	axios (npm)
Versión afectada	<= 1.13.4
Impacto	Deny service (servidor accidente)
Ataque	Red (remoción)
Versión fija	1.13.5

Es una buena idea.

La laguna existe en Axios Función de combinación, esta función consolida diferentes objetos de configuración. Cuando la Función Procesamiento Contiene proto Cuando el objeto se configura como clave, la aplicación se bloquea.

Flujo de ataque

• Corre por defecto de Axios a través de Propiedades de configuración para combinarlos
• El atacante incluye __proto__ Malicious JSON Object
• Axios trató de encontrar una política de fusión, pero inesperadamente se Object.prototype
• El código trata de llamar al prototipo como una función
• Porque... Object.prototype Es un objeto, no una función. Tíralo. TypeError
• La aplicación se bloquea instantáneamente

Ejemplo de ataque

El atacante simplemente envió la carga útil para romper el servidor:

{"__proto__": {"x": 1}}

Es una forma sencilla de atacar.Baja complejidad de ataqueCalificaciones, pero muy dañinas.

La escena del ataque.

Esta laguna es específica para las siguientes aplicaciones:

• AceptarEntrada de control de usuarioAplicación (por ejemplo, cuerpo JSON)
• Uso JSON.parse() Parsing Input
• Importar un objeto analizado en la configuración de Axios (p. ej. axios.get(url, userConfig)No estoy seguro.

La aplicación de estas condiciones corre el riesgo de ser atacada.Una solicitud maliciosa permitirá todo el servicio. LíneaAfecta a todos los usuarios.

Distinción de la contaminación por prototipos

Lo que necesita atención es esta laguna.Diferente de la laguna de contaminación prototipo tradicional.No lo sé. En la contaminación tradicional del prototipo, los atacantes influyen en otros objetos modificando el prototipo del objeto, y en este vacío,La aplicación se estrelló antes de que las propiedades fueran contaminadas.No lo sé.

Este mecanismo de colapso hace que el ataque sea más directo y letal:Sin una cadena de utilización compleja, se acabó.No lo sé.

Programa de rehabilitación

Actualizar ahora

Axios, oficial. Versión 1.13.5 Otros organizadores __proto__ clave para evitar errores de tipo.

Utilice npm para actualizar:

npm update axios

Use hilo para actualizar:

yarn upgrade axios

Versión actual:

npm list axios

Fijaciones de autenticación

Actualizar para asegurar que la versión axios del paquete.json es:

"axios": ">=1.13.5"

• Alcance del impacto

Axios es uno de los bancos de clientes más populares de HTTP en ecosistemas de JavaScript, y es el banco de clientes más popular del mundo.Más de 50 millones de descargas por semana.No lo sé. Esta laguna tiene amplias implicaciones:

• Frontend: Usar Axios Vue, Reactar, Aplicación Angular
• Node.js BackendAplicación de servicio con Axios
• Arquitectura de microservicioOtros organizadores
• Aplicaciones institucionales: Un gran número de sistemas empresariales dependen de Axios

¿Cómo?

1. Examen de versiones dependientes

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Uso de herramientas de análisis de seguridad

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Asesoramiento sobre seguridad

• Actualizar ahora: Todos los proyectos que utilizan axios se actualizan inmediatamente a 1.13.5
• Rendimiento de la auditoría: comprobar todas las dependencias del proyecto para asegurar que las versiones antiguas no se introduzcan indirectamente
• Autenticación de entrada: Validación estricta de la entrada del usuario para evitar la entrada directa en el objeto de configuración
• Alerta de seguridad.: mayor vigilancia del servidor y detección oportuna de desglose anormal
• Prueba de seguridadPruebas periódicas de seguridad para detectar posibles lagunas

Resumen

CVE-2026-25639 es una de las bibliotecas de AxiosNegación de alto riesgo de lagunas en los serviciosY los atacantes pueden hacer que el servidor Node.js colapse en un instante por simplemente objetos maliciosos JSON. Esta laguna tiene un gran impacto y es altamente dañina.

Como desarrolladores, debemos permanecer vigilantes.• Actualización oportuna de la dependencia, validación de la entrada del usuario, pruebas de seguridad mejoradas. Seguridad, una función combinada de configuración aparentemente simple, también puede ser un punto de entrada letal.

Si sigues usando axiosPor favor, actualice inmediatamente a 1.13.5.¡Protege tus aplicaciones y usuarios!

No hay de qué preocuparse.